H3C无线控制器与微软NPS接入认证功能对接操作指导

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

目  录

1 H3C无线控制器与微软 NPS接入认证功能对接操作指导

1.1 简介

1.2 Portal认证对接配置举例

1.2.1 适用产品和版本

1.2.2 组网需求

1.2.3 配置注意事项

1.2.4 配置步骤

1.2.5 验证配置

1.2.6 配置文件

1 H3C无线控制器与微软 NPS接入认证功能对接操作指导

1.1  简介

本章介绍H3C无线控制器与微软的认证服务器软件NPS的接入认证功能对接配置，包括Portal认证和授权下发ACL。

1.2  Portal认证对接配置举例

1.2.1  适用产品和版本

本配置举例所使用的设备型号及版本信息如下：

·     AC：vAC，R5435P03

·     NPS认证服务器：Windows Server 2016 NPS组件

·     iMC服务器：iMC PLAT 7.3（E0706P03）、iMC 7.3（E0620）

如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

1.2.2  组网需求

如图1-1所示，AC、Portal服务器和RADIUS服务器通过Switch建立连接，设备管理员希望对Client进行Portal认证，以控制其对网络资源的访问，具体要求如下：

·     采用NPS作为RADIUS服务器。

·     采用iMC作为Portal服务器。

·     对无线用户采用直接方式的Portal认证。

图1-1 Portal认证配置组网图

 

1.2.3  配置注意事项

配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。

1.2.4  配置步骤

1. 配置AC

(1)     配置RADIUS方案

# 创建名字为nps的RADIUS方案并进入该方案视图。

[AC] radius scheme nps

# 配置RADIUS方案的主认证和主计费服务器及其通信密钥，服务器IP地址为NPS服务器的IP地址，通信密钥要与NPS服务器配置的一致。

[AC-radius-nps] primary authentication 8.72.1.7 key simple 12345678

[AC-radius-nps] primary accounting 8.72.1.7 key simple 12345678

# 配置发送给RADIUS服务器的用户名不携带ISP域名。

[AC-radius-nps] user-name-format without-domain

[AC-radius-nps] quit

(2)     配置认证域

# 创建并进入名字为portal的ISP域。

[AC] domain portal

# 为portal用户配置认证、授权和计费方案为RADIUS，方案名称为nps。

[AC-isp-portal] authentication portal radius-scheme nps

[AC-isp-portal] authorization portal radius-scheme nps

[AC-isp-portal] accounting portal radius-scheme nps

[AC-isp-portal] quit

(3)     配置Portal认证

# 配置Portal认证服务器：名称为imc，IP地址为iMC服务器的地址，密钥为明文portal。

[AC] portal server imc

[AC-portal-server-imc] ip 8.1.1.231 key simple portal

[AC-portal-server-imc] quit

# 配置Portal Web服务器的URL为http://8.1.1.231:8080/portal/（请根据实际情况配置Portal Web服务器的URL）。

[AC] portal web-server imc

[AC-portal-websvr-imc] url http://8.1.1.231:8080/portal/

[AC-portal-websvr-imc] quit

# 配置无线服务模板portal的SSID为portal_nps。

[AC] wlan service-template portal

[AC-wlan-st-portal] ssid portal_nps

# 在无线服务模板portal上使能直接方式的Portal认证。

[AC-wlan-st-portal] portal enable method direct

# 在无线服务模板portal上引用Portal Web服务器imc。

[AC-wlan-st-portal] portal apply web-server imc

# 在无线服务模板portal上Portal用户使用认证域portal。

[AC-wlan-st-portal] portal domain portal

# 使能无线服务模板portal

[AC-wlan-st-portal] service-template enable

[AC-wlan-st-portal] quit

# 创建手工AP，名称为ap1，选择AP型号并配置序列号。

[AC] wlan ap ap1 model WA6638-JP

[AC-wlan-ap-ap1] serial-id 219801A24F8198E0001G

[AC-wlan-ap-ap1] quit

# 配置射频，将无线服务模板portal绑定到Radio1上，并绑定VLAN 80。

[AC] wlan ap ap1

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-radio-1] service-template portal vlan 80

[AC-wlan-ap-ap1-radio-1] radio enable

[AC-wlan-ap-ap1-radio-1] quit

[AC-wlan-ap-ap1] quit

(4)     配置ACL 3999（请根据实际需求配置）。

[AC] acl advanced 3999

[AC-acl-ipv4-adv-3999] rule 0 permit ip

[AC-acl-ipv4-adv-3999] quit

(5)     在AC上开启DHCP服务，并创建DHCP地址池，为Client分配地址。

# 创建VLAN 80，配置VLAN 80对应的虚拟三层接口，并配置该虚拟三层接口的地址为72.205.1.1，子网掩码为255.255.0.0

[AC] vlan 80

[AC-vlan80] quit

[AC] interface Vlan-interface 80

[AC-Vlan-interface80] ip address 72.205.1.1 255.255.0.0

[AC-Vlan-interface80] quit

# 开启DHCP服务

[AC] dhcp enable

# 创建名称为80的DHCP地址池

[AC] dhcp server ip-pool 80

[AC-dhcp-pool-80] quit

# 配置DHCP地址池动态分配的主网段为72.205.0.0/16

[AC-dhcp-pool-80] network 72.205.0.0 mask 255.255.0.0

# 配置网关地址为72.205.1.1

[AC-dhcp-pool-80] gateway-list 72.205.1.1

# 配置为DHCP客户端分配的DNS服务器地址为72.205.1.1

[AC-dhcp-pool-80] dns-list 72.205.1.1

[AC-dhcp-pool-80] quit

2. 配置IMC服务器（Portal Server）

(1)     配置Portal认证服务器

选择[用户/接入策略管理/Portal服务管理/服务器配置]选项，进入Portal服务器配置页面，请根据需求配置以下参数。

图1-2 Portal服务器配置

 

 

(2)     增加IP地址组

选择[用户/接入策略管理/Portal服务管理/IP地址组配置/增加IP地址组]选项，增加IP地址组，地址的范围为Client所在IP地址段。

图1-3 增加IP地址组

 

 

(3)     增加设备信息

选择[用户/接入策略管理/Portal服务管理/设备配置/增加设备信息]选项，将AC添加至服务器，在设备信息栏的“IP地址”中填写AC的IP地址，密钥配置与AC的Portal认证服务器密钥一致，本例配置为portal。

图1-4 增加设备信息

 

 

(4)     设备关联IP地址组

a.     在设备信息列表中找到上一步增加的设备，点击该设备的<端口组信息管理>链接，进入端口组信息配置页面；

图1-5 设备信息列表

 

 

b.     在端口组信息配置页面中点击<增加>按钮，进入设备的增加端口组信息页面，认证方式选择“PAP认证”，IP地址组选择第（2）步创建的IP地址组，将AC与IP地址组关联。

图1-6 设备关联IP地址组

 

 

3. 配置NPS服务器（Radius Server）

(1)     配置RADIUS客户端

在左侧导航栏中选择[RADIUS/RADIUS客户端]选项，新建RADIUS客户端，在“地址(IP或DNS)”中填写AC的IP地址，“共享机密”与AC配置的RADIUS方案中，主认证和主计费服务器的密钥相同，本例为12345678，最后点击<确定>按钮完成配置。

图1-7 新建RADIUS客户端

 

 

 

(2)     新建用户

a.     在Active Directory 用户和计算机组件中，选择目录中的User文件夹，右键新建用户，配置用户名为my，点击<下一步>按钮配置密码。

图1-8 新建用户

 

 

b.     配置完新建用户的密码后，勾选密码永不过期选项，点击<系一部>按钮，再在弹窗中点击<完成>按钮完成新用户的创建。

图1-9 配置用户密码

 

 

(3)     配置连接请求策略

a.     配置策略名称

右击左侧导航栏中的[策略/连接请求策略]，选择“新建”，在弹窗中配置策略名称，其他选项保持默认配置，完成后点击<下一步>按钮，进入指定条件页面。

图1-10 配置策略名称

 

 

b.     添加用户名。

在指定条件页面中选择“用户名”选项，点击<添加>按钮将新建的RADIUS用户添加至策略中，点击<确定>按钮完成配置。

图1-11 添加用户名

 

 

c.     配置NAS端口类型。

在指定条件页面中将滚动条拖至最低端，选择“NAS端口类型”选项，点击<添加>按钮将NAS端口类型添加至策略中。在“普通802.1X连接隧道类型”栏目中勾选“无线-IEEE 802.11”，在“其他”栏目中勾选“无线-其他”，完成配置后点击<确定>按钮，再点击<下一步>按钮进入指定连接请求转发功能。

图1-12 配置NAS端口类型

 

 

d.     配置身份验证位置

在指定连接请求转发功能页面，选择“身份认证”，勾选“在此服务器上对请求进行身份验证”选项，再点击<下一步>，进入指定身份验证方法页面。

图1-13 配置身份验证位置

 

 

e.     指定身份验证方法

在EAP类型中添加“受保护的EAP（PEAP）”和“安全密码（EAP-MSCHAP v2）”；在安全级别较低的身份验证方法中勾选“Microsoft 加密的身份验证版本 2 （MS-CHAP-v2）”、“Microsoft 加密的身份验证版本（CHAP）”、“加密的身份验证（CHAP）”、“未加密的身份验证（PAP，SPAP）”、和“允许客户端连接而不需要协商身份验证方法”。完成后点击<下一步>，在弹窗中点击<No>按钮，进入配置设置页面。

图1-14 指定身份验证方法

 

 

f.     配置策略属性

在配置设置页面中，在属性下拉框中配置属性为Called-Station-Id（默认配置）。

图1-15 配置策略属性

 

 

g.     添加标准RADIUS属性

在配置设置页面中，选择“标准”选项，添加标准RADIUS属性。在属性栏中点击名称，再点击<添加>按钮，在属性信息弹窗中配置属性值。

图1-16 添加标准RADIUS属性

 

 

属性信息的弹窗中，属性值下面的勾选项保持默认（例如Framed-Protocol属性值默认为一般用于拨号或VPN），在属性值下拉框中将名称为Framed-Protocol的属性值配置为PPP，点击属性信息弹窗中的<确定>按钮完成属性的添加。

图1-17 添加标准RADIUS属性

 

 

仿照上一步，将名称为Service-Type的属性值配置为Framed，名称为Tunnel-Media-Type的属性值配置为802( include all 802 media plus Ethernet )，Filter-ID为ACL属性，将属性值配置为3999，添加完成后的效果如下图。

图1-18 完成添加标准RADIUS属性

 

 

h.     查看/修改连接请求策略

完成以上配置后，在NPS的左侧导航栏中选择[策略/连接请求策略]，在策略名称栏中可以查看策略的内容。右击策略名称，选择属性，可以修改策略中的配置。

图1-19 查看策略内容

 

 

1.2.5  验证配置

Client上线后，访问浏览器页面时可弹出Portal web服务器的认证界面，输入用户名my和用户密码后，可认证成功。通过执行以下显示命令可查看Portal上线成功，且授权ACL下发成功。

[AC] display portal user all verbose

Total portal users: 1

Basic:

  AP name: ap1

  Radio ID: 1

  SSID: portal_nps

  Current IP address: 72.205.0.1

  Original IP address: 72.205.0.1

  Username: my

  User ID: 0x1000002b

  Access interface: WLAN-BSS0/4

  Service-VLAN/Customer-VLAN: 80/-

  MAC address: d4bb-c8a1-8a55

  Authentication type: Normal

  Domain name: portal

  VPN instance: N/A

  Status: Online

  Portal server: imc

  Vendor: VIVO

  Portal authentication method: Direct

AAA:

  Realtime accounting interval: 720s, retry times: 5

  Idle cut: N/A

  Session duration: 0 sec, remaining: 0 sec

  Remaining traffic: N/A

  Login time: 2021-12-3 18:57:44 UTC

  Online time(hh:mm:ss): 00:00:05

  DHCP IP pool: N/A

  Web URL: N/A

ACL&QoS&Multicast:

  Inbound CAR: N/A

  Outbound CAR: N/A

  ACL number: 3999 (active, AAA)

  User profile: N/A

  Session group profile: N/A

  Max multicast addresses: 4

Flow statistic:

  Uplink   packets/bytes: 7/540

  Downlink packets/bytes: 0/0

1.2.6  配置文件

#

radius scheme nps

 primary authentication 8.72.1.7 key simple 12345678

 primary accounting 8.72.1.7 key simple 12345678

user-name-format without-domain

#

domain portal

 authentication portal radius-scheme nps

 authorization portal radius-scheme nps

 accounting portal radius-scheme nps

#

portal server imc

 ip 8.1.1.231 key simple portal

#

portal web-server imc

 url http://8.1.1.231:8080/portal/

#

wlan service-template portal

 ssid portal_nps

 portal enable method direct

 portal domain portal

 portal apply web-server imc

 service-template enable

#

wlan ap ap1 model WA6638-JP

 serial-id 219801A24F8198E0001G

 radio 1

  radio enable

  service-template portal vlan 80

#

acl advanced 3999

 rule 0 permit ip

#

vlan 80

#

interface Vlan-interface 80

 ip address 72.205.1.1 255.255.0.0

#

dhcp server ip-pool 80

 gateway-list 72.205.1.1

 network 72.205.0.0 mask 255.255.0.0

 dns-list 72.205.1.1

#

Return